공격자들이 개발자들이 널리 사용하는 정상 소프트웨어인 Node.js(자바스크립트 실행 환경)를 악성코드 배포 수단으로 악용하는 사례가 2026년 2월부터 급증하고 있습니다. 이 방법은 node.exe가 합법적인 서명된 프로그램이기 때문에 기존 백신(안티바이러스) 탐지를 쉽게 우회할 수 있어 공격자들에게 매력적입니다. 공격의 시작점은 대부분 ClickFix라는 사회공학 기법으로, 사용자가 가짜 오류 메시지나 CAPTCHA를 보고 스스로 악성 명령어를 실행하도록 유도합니다. 특히 일부 공격은 이더리움 블록체인(암호화폐 네트워크)을 C2(명령·제어) 서버 주소록으로 활용해, 특정 도메인이나 IP를 차단하는 전통적 방어를 무력화합니다. 정부기관·기술기업·호텔·핀테크 등 다양한 조직이 피해를 입었으며, 현재 여러 위협 행위자 그룹이 이 방식을 동시에 사용 중입니다.
공격자들이 Node.js 공식 런타임(node.exe)을 악용해 AdaptixC2, Cobalt Strike, C2Looper, AsukaStealer 등 다양한 악성 도구를 배포하고 있으며, ClickFix 사회공학 기법으로 최초 침투 후 장기 거점을 확보하고 있다.
2026년 2월 이후 정부기관·기술기업·호텔·핀테크 기업 등 최소 31개 이상의 조직이 피해를 입었고, 블록체인 기반 C2를 통해 도메인/IP 차단만으로는 공격 차단이 불가능한 상황이다.
node.exe가 정식 서명된 신뢰 도구이기 때문에 악성 코드를 스크립트 형태로 숨겨 시그니처 기반 탐지를 우회할 수 있으며, 레지스트리 Run 키를 통해 로그인 시마다 자동 재실행된다. C2 주소를 Polygon 블록체인에 저장해 차단을 어렵게 만든다.
공개 웹사이트에 대한 지속적인 무결성 감사, 미승인 브라우저 확장 프로그램 차단, ClickFix 유형의 사회공학 공격을 인식할 수 있는 보안 인식 교육 실시를 권고한다.
ClickFix 공격은 사용자가 Windows 실행(Run) 대화상자나 터미널에 악성 명령을 직접 붙여넣어 실행하도록 유도하므로, 임직원 대상 시뮬레이션 훈련과 함께 비승인 PowerShell·cmd 실행에 대한 엔드포인트 정책 강화가 즉시 필요하다.
본문
위협 행위자들이 신뢰받는 Node.js 자바스크립트 런타임을 여러 사이버 공격에서 악성 페이로드(악성 실행 코드) 배포 수단으로 활용하고 있다.
오늘 Symantec Threat Hunter Team이 공개한 새 보고서에 따르면, 이 공격 기법은 2026년 2월부터 정부 부처·기술 기업·호텔을 대상으로 한 공격에 사용되어 왔다.
Broadcom 산하 사이버보안 부문은 The Hacker News에 공유한 보고서에서 다음과 같이 밝혔다. "이 기법의 매력은 node.exe(Node.js를 실행하는 바이너리)가 합법적으로 서명된 개발자 도구라는 점이다. 공격자의 악성 코드는 바이너리가 아닌 인터프리터 스크립트 안에 존재하기 때문에 시그니처 기반 탐지를 회피할 가능성이 높으며, 레지스트리 Run 키 항목을 통해 로그인 시마다 페이로드를 재실행할 수 있다."
2026년 3월 23일부터 7월 25일 사이에 특정 아시아 기술 기업을 대상으로 관측된 한 침해 사례에서, 공격자들은 nodejs[.]org에서 공식 Node.js 설치 프로그램을 내려받아 신뢰받고 서명된 런타임을 이용해 악성 임플란트를 배포했다. 이를 통해 장기적인 접근 거점을 확보하고, EtherHiding이라는 기법을 사용해 명령 또는 도구를 원격으로 수신했다.
해당 위협 행위자들은 ClickFix 사회공학 기법으로 최초 접근을 확보한 뒤, AdaptixC2와 Cobalt Strike 비콘(원격 제어 도구) 배포를 반복 시도했으나 차단당하자 이 방식으로 전환한 것으로 알려졌다.
흥미롭게도 이 기법은 ModeloRAT 및 Mistic(MLTBackdoor라고도 불림)과 함께 사용되기도 했는데, 두 도구 모두 KongTuke(Woodgnat라고도 불리는) 초기 접근 브로커(IAB)의 작품으로 평가된다.
2026년 6월 Symantec은 Woodgnat 공격 체인이 "node.exe"를 악용해 공격자의 자바스크립트를 실행하고, PowerShell 및 Windows 커맨드라인 도구를 연쇄 호출하며, CrashFix라 불리는 ClickFix 변종의 일환으로 NexShield라는 악성 Chrome 확장 프로그램을 사용하는 특징이 있다고 공개했다. 이 공격에 사용된 또 다른 도구는 GateKeeper라는 .NET 페이로드로, 다단계 암호화와 피해자 핑거프린팅(식별) 로직을 갖추고 있다.
동일한 공격 방식이 미국의 한 핀테크 기업에서도 관측되었으며, 이 공격은 지난달 Zscaler ThreatLabz가 문서화한 Rust 기반 백도어인 C2Looper 배포로 이어졌다. 최초 활동은 2026년 5월 6일에 관측되었으며, 공격자들은 ClickFix로 확보한 거점을 이용해 AdaptixC2 에이전트와 Cobalt Strike 비콘을 배포했다.
C2Looper 설치는 최초 사건 발생 두 달 이상이 지난 후에 이루어졌으며, 위협 행위자들이 자격 증명 탈취·횡적 이동(내부망 침투)·파괴적 작전에 관여했다는 증거는 없다. 또한 백도어를 통한 거점 확보 이외에 최종 목표를 달성했는지 여부도 불분명하다.
Symantec은 "해당 사건에서는 node.js 사용 및 이더리움 블록체인 연결이 관측되지 않았지만, 공유된 도메인과 공격 체인의 유사성은 동일한 공격자가 배후에 있음을 시사한다"고 밝혔다. "공격자들이 백도어를 성공적으로 배포할 수 있었기 때문에 이 조직에서 Node.js 활동을 포착하지 못한 것으로 추정된다."
이 사이버보안 기업은 여러 위협 행위자들이 Node.js를 악용하고 있다고 밝혔다. 침해 사례에서 사용된 도구에는 Node.js 버전의 정보 탈취 악성코드인 AsukaStealer, EtherRAT, 그리고 기타 합법적인 Microsoft 및 커맨드라인 유틸리티가 포함된다.
Symantec은 "Node.js를 사용하는 공격자들은 LOLBin(정상 도구 악용) 및 이중 용도 도구, 범용 악성코드, Backdoor.Mistic·C2Looper·새 버전의 AsukaStealer 같은 신규 도구를 복합적으로 활용하는 것을 선호한다"고 결론지었다. "이는 Node.js가 다시 인기를 끌면서 다양한 기술 수준의 공격자들이 이를 사용하고 있음을 시사한다."
이번 공개는 GuidePoint Security가 ClickFix 캠페인을 통해 전자상거래·전문 서비스·소매 물류 기업 등 최소 31개 조직이 침해된 사실을 밝힌 것과 맞물려 발표됐다. 이 캠페인은 침해된 사이트를 방문한 이용자에게 가짜 CAPTCHA 인증 프롬프트를 표시하고, EtherHiding을 악용해 C2(명령·제어) 인프라를 탐색하고 명령을 수신하는 지속성 백도어를 배포한다.
이 캠페인은 두 가지 유형의 피해자를 양산한다는 점에서 이중적이다: ClickFix 미끼를 삽입하기 위해 웹사이트가 악용된 합법적인 기업과, 해당 사이트에 방문한 아무것도 모르는 사용자들이다.
GuidePoint Security의 연구원 Jean-Pierre Mouton은 "전통적으로 ClickFix 악성코드는 공격자의 C2 서버를 차단해 감염된 기기와의 통신을 끊으면 무력화할 수 있었다"고 말했다. "그러나 이 캠페인은 Polygon 암호화폐 블록체인을 동적으로 업데이트 가능한 주소록으로 활용함으로써 이 방어를 우회한다."
"이 기법은 C2 세부 정보를 규모에 맞게 즉석에서 조정할 수 있기 때문에, 단일 도메인이나 IP 주소를 차단하는 것만으로는 공격자의 접근을 영구적으로 차단할 수 없다. 공격자는 건당 몇 분의 1센트에 불과한 비용으로 감염된 모든 기기를 새로운 C2 서버로 자동 리다이렉트할 수 있다."
지난 2년간 ClickFix와 그 수많은 변종들은 크게 확산되었다. 이 공격은 오류를 수정하거나 봇이 아님을 증명한다는 명목으로 사용자를 속여 미끼에 제시된 명령을 복사해 Windows 실행(Run) 대화상자나 Windows 터미널 앱에 붙여넣도록 유도함으로써, 사용자 스스로 자신의 시스템을 침해하게 만든다.
이 위협 및 유사한 위협에 대응하기 위해, 조직들은 공개 웹사이트의 의심스러운 변경 또는 악성 스크립트 여부를 지속적으로 감사하고, 미승인 브라우저 확장 프로그램을 차단하며, ClickFix 방식의 사회공학 전술을 인식할 수 있도록 보안 인식 교육을 실시할 것을 권고받고 있다.
